Scrutin n° 1101 du 20/03/2025

Rédiger ainsi les alinéas 4 à 8 :

« Les opérateurs et personnes mentionnés à l’article L. 851–1 qui fournissent des prestations de cryptologie visant à assurer une fonction de confidentialité, sont tenus de conserver les données utilisateurs pendant un délai d’un an.

« Ils remettent, à la demande des agents autorisés, dans un délai de soixante-douze heures, l’ensemble des données utilisateurs, et notamment les données de connexion, qu’ils détiennent.

« Les opérateurs et personnes mentionnés au premier alinéa ne peuvent exciper d’arguments contractuels ou techniques pour faire obstacle à cette obligation.

« Un décret en Conseil d’État, pris après avis de la Commission nationale informatique et libertés définit les conditions d’application du présent article. »

L’amendement auquel se rattache le présent sous-amendement tend à réintroduire l’article 8ter dans le texte. Cet article vise à permettre l’accès par les services de renseignement aux données intelligibles contenues dans les messageries cryptées. Malgré les quelques garanties apportées, la menace demeure la même sur le fond : celle de la création de vulnérabilités dans le système, exploitables par des agents malveillants.

Deux méthodes sont envisageables, les deux également insatisfaisantes. L’accès secret via le serveur (« man in the middle »), qui brise le chiffrement, ou l’accès depuis le terminal, par l’insertion d’un utilisateur « fantôme ». Cette dernière méthode expose un point d’entrée qui pourrait être détecté et exploité par des services étrangers Par ailleurs, dans le cas d’applications open source (Signal, Trema, Olvid), les lignes de code créant la backdoor seront publiques et donc accessibles aux personnes malveillantes (hackeurs, Etats étrangers).

Plutôt que d'affaiblir la sécurité globale, une approche alternative serait de croiser les données de connexion (logs) des utilisateurs avec les informations fournies par les OS (iOS, Android) et les opérateurs. Ce sous-amendement propose donc d’imposer une conservation des logs pendant un an, permettant ainsi une traçabilité des communications tout en respectant le chiffrement. Cette obligation renforcerait la coopération des opérateurs avec les services de renseignement et garantirait un cadre légal clair pour accéder aux informations nécessaires dans les enquêtes.